Danemark : 8,8 millions de personnes exposées, et un mot de passe « 123456 » au cœur de l'affaire
Un pirate a aspiré pendant des semaines le registre national danois via le compte d'une petite entreprise d'Odense. Selon la presse danoise, plusieurs de ses comptes utilisaient le mot de passe 123456. Ce qu'on sait, et la leçon pour tout le monde.
Le Danemark a annoncé le 5 octobre 2026 une fuite touchant son registre national de la population, le CPR. Ce fichier central attribue à chaque habitant un numéro utilisé par les administrations, les banques et les services de santé. Selon le ministère, les noms, adresses et numéros CPR d’environ 8,8 millions de personnes, vivantes ou décédées, ont été consultés sans autorisation.
Nous avions raconté la découverte de cette fuite début octobre. Depuis, la presse danoise a révélé le plus frappant : la porte d’entrée.
Une petite entreprise et un mot de passe de cour de récréation
Le registre lui-même n’a pas été piraté. L’attaquant a utilisé l’accès parfaitement légal d’un prestataire : Pays ApS, une entreprise de deux salariés basée à Odense, qui vendait des services de mise à jour d’adresses et de vérification de décès. L’entreprise a confirmé que son accès au CPR avait été détourné.
D’après le pirate, interrogé anonymement par le quotidien Politiken, tout a commencé avec le mot de passe d’un ancien salarié, retrouvé dans une fuite précédente. Politiken a ensuite constaté qu’au moins trois comptes de l’entreprise, dont un compte administrateur, utilisaient le mot de passe « 123456 ».
14 millions de requêtes, et personne n’a rien vu
L’accès serait resté ouvert pendant plus de trois semaines en septembre. Le pirate dit avoir écrit des programmes pour aspirer les données, et aurait lancé plus de 14 millions de requêtes. Selon IT-Connect, qui cite la presse danoise, aucune alerte de sécurité ne s’est déclenchée : c’est la facture anormalement élevée du prestataire, chaque consultation du registre étant payante, qui a mis la puce à l’oreille le 2 octobre.
La ministre concernée a parlé d’un incident « profondément grave », reconnu une sécurité insuffisante et demandé un audit complet. Les 1 039 entreprises qui ont accès au registre doivent désormais nommer un responsable sécurité et surveiller leurs accès en continu. La police enquête. Le pirate affirme ne pas vouloir vendre ni publier les données, une promesse invérifiable.
Quels risques pour les personnes concernées ?
Au Danemark, la connexion aux services publics et bancaires passe par MitID, un système de double authentification : un numéro CPR seul ne suffit pas pour se faire passer pour quelqu’un. Le vrai risque, c’est l’arnaque crédible : un appel ou un message qui cite votre nom, votre adresse et votre numéro pour gagner votre confiance. Les autorités danoises rappellent de ne jamais communiquer un mot de passe ni un code reçu par SMS, même à quelqu’un qui connaît déjà tout de vous.
La leçon vaut aussi en France
Cette affaire coche toutes les cases que l’on retrouve dans les fuites françaises récentes :
- le maillon faible est un prestataire, comme pour la fuite de la région Hauts-de-France ;
- un mot de passe réutilisé ou trivial sert de clé d’entrée ;
- un compte d’ancien salarié n’avait pas été désactivé ;
- aucune double authentification ni surveillance des volumes de requêtes.
Pour vous, la parade tient en deux outils : un gestionnaire de mots de passe pour ne plus jamais réutiliser ni inventer un mot de passe faible, et la double authentification sur les comptes importants. Et si vos données ont déjà fuité quelque part : que faire après une fuite de données.